کارشناس تست نفوذ به وب سرور ها و مباحث امنیت (وب هکینگ)

مقدمه :

دنیای آموزش امنیت تجارت بزرگی به حساب می آید که آدم های کم سواد اما با اعتماد به نفس بالا در آن وجود دارند از جمله ایران به هیچ وجه community شبیه به UNCOX پیدا نخواهید کرد دلیل آن میتوان مشکلات اقتصادی - نبود انگیزه برای فرد متخصص - شرکت در پروژه های بین المللی و عدم رضایت به درامد ریالی و ... . آنچه در این پست مورد بررسی قرار خواهد گرفت معرفی افراد برتر این حوزه به جهت افزایش سواد شما می باشد اما در ادامه بر روی نمونه مثالی از یک دوره ی  " من درآوردی  " به بررسی خواهیم پرداخت از جمله بررسی آنکه هدف این دوره تجارت است یا انتقال علم و سواد

تذکرات :

جهت عدم افزایش اعمال بار بر روی سرور uncox به جهت کاهش هزینه نگهداری لطفا با تایید این مقاله از آن حمایت کنید.

طبق قوانین community اسمی از آموزشگاه ذکر نخواهد شد بلکه صرفا افراد حرفه ای فعال در این حوزه معرفی خواهند شد که میتوانید این عزیزان را با کلمه کلیدی " امنیت " یا " security " در اینترنت جستجو کنید همچنین در لینکدین ولی باید توجه داشت که حوزه فعالیت آنها مربوط به امنیت باشد.

دلیل ایجاد این پست جلوگیری از هدر رفت زمان - هزینه مالی - رسیدن به هدف در سریع ترین زمان ممکن - استفاده از تجربه افراد فعال در حوزه باگ بانتی و RedTeam می باشد.

اگر اسمی از سایر افراد برده نشد تنها به دلیل آنکه بود که بنده با آنها در ارتباط نبودم

سوابق دانشجو با فیلتر:

   https://github.com/Sohrabian

linkedin.com/in/hassan-sohrabian-942687192

چگونگی پیدا کردن فرد با سواد در حوزه امنیت :

استفاده از لینکدین , بررسی network ای که ایجاد کرده اند , فعالیت بر روی یک فیلد خاص از امنیت, پروژه های گیت هاب و اسمینار های که برگزار کرده اند اما برای تشریح بیشتر باید به شدت دقت داشت به دلیل وجود افراد متعدد در هر سطح از سواد امکان هدر رفتن زمان - هزینه شما وجود دارد . بنابراین آن چیزی که برای شما متصور میشود باید جستجو بین چندین لینک از این افراد می باشد . 

اگر به طور خلاصه به تشریح فعالیت های حوزه شبکه - رویکرد DevOps - امنیت سایبری بپردازیم به صورت زیر خواهد بود :

sysAdmin یا systemAdminstration - از جمله فعالیت فرد متخصص در این حوزه مدیریت کاربران - Harden کردن سرور مورد نظر - کانفیگ load balancer ها مانند HA Proxy - مدیریت یا RAID بندی فضای ذخیره سازی آشنایی با SAN و NAS استوریج ها - آشنایی با طراحی زیر ساخت شبکه vendor هایی نظیر Cisco, MikroTik,Huawei و ... خواهد بود البته در دو حوزه سیستم های لینوکسی یا ماکروسافتی مدارکی وجود دارد و نیز مدارک مربوط به HP storage and server و ...

رویکرد DevOps در زمینه پروژه های Agile, RESTFUL - نکته ای که حائز اهمیت میباشد ارتباط در این بستر به وسیله Token میباشد و کمتر حرفی از session یا cookie به میان می آید. البته رویکرد در spa ها مانند تلگرام - واتساپ متفاوت خواهد بود . به کانفیگ کردن  Docker container - HA Proxy - kubernetes-Traform و ... به جهت ایجاد توازن میان گروه Developers و مهندسین شبکه می باشد .

NOC یا Network operation center - به گروهی اطلاق می شود که در تلاش بر مانیتور کردن منابع سخت افزاری - جلوگیری از DOWN شدن Router ها و سرور ها می باشد همچنین بررسی Flow Control میان میکروسرویس ها می باشد از جمله نرم افزار های فعال در این حوزه به صورت open source می توان به Zabbix - ELK /Kibana - SPLUNK -Prumethus-Grafana و ... اشاره داشت .

SOC یا Security Operation Center - اگر بتوان مثالی از بدن برای آن متصور شود مغز ناظر بر قلب تپنده اکوسیستم اینترنت می باشد ( مغز SOC و قلب تپنده زیر ساخت شبکه و سرویس هایی که بر روی آن سوار میشوند ) حوزه فعالیت این بخش بر روی جلوگیری از حملات سایبری نظیر insider attackers , outsider attacker ها می باشد مانند گروه های APT و نیز آشنایی با incident responce است حتی میتوان گفت بخشی از فعالیت این عزیزان نظارت بر عمکرد ارتباطات Restful و اطلاع از حملات sql injection - XSS و ... خواهد بود .

Detection - دوستان فعال در این حوزه بر روی پیاده سازی ممیزی های سازمانی - تشخیص نفوذ در عمق و از جمله مدارک می توان به موارد زیر اشاره داشت : sans 504,sans 503, sans 511, sans 555,sans 560,sans 660,sans 760 و ... همچنین به موارد ISMS و تحلیل لاگ می توان اشاره داشت آنکه packet های ارسالی به شبکه اصلی دستکاری شده - آلوده و به چه قصدی ایجاد شده اند . یکی از موارد مهم این تخصص سنسور چینی بر روی شبکه توسط IPS /IDS ها می باشد نظیر zeek - snort - suricata و ...

prevention - دوستان فعال در این حوزه به پیاده سازی فایروال های شبکه به جهت جلوگیری از حملات سایبری سمت سرور و کلاینت می پردازند . شامل HOST Base firewall and Network Base firwall and create VPN Tunnel و ... می باشد که می توان به WAF - Sophos XG و ... اشاره داشت .

از جمله مواردی نظیر Forensic و CSIRT , RedTeam , web pen , Network Pen , mobo pen می باشد . 

اما چرا این موارد تشریح شد ؟ اگر دقت کرده باشید متوجه خواهید بود که شرط زنده بودن یک اکوسیستم همکاری میان گروه ها می باشد و هر یک استاندارد های یاد گیری مخصوص به خود را دارند .

بررسی عنوان های آموزشی و course های واقع در اینترنت :

pentration testing zero to hero عنوانی شبیه به این دوره تنها به شما دید کلی در زمینه نفوذ اعطا می کند و شاید بتوان گفت در صورت عدم وجود تمرین تمامی موارد به فراموشی خواهد رفت . بنابراین اگر بتوان گفت طبق دوره های اصلی sans 542 and sans 642 و زمان استاندارد آموزش یعنی جمعا 80 ساعت و تمرین حمله - تست نفوذ و ارائه گزارش به مدت 20 ساعت , آیا این دست از دوره ها به شما مهارت zero to hero به معنای واقعی اعطا می کنند ؟ قطعا خیر .

از طرفی طبق عنوان این آموزش یعنی zero to hero بودن و به احتمال بسیار زیاد مباحث مربوط به network pentest را شامل میشود . باید دقت داشت طبق سر فصل های sans 560 , sans 660 , sans 760 زمانی بالغ بر 140 ساعت بر روی این حوزه وقت گذاشت از طرفی آیا بدون اجارای محیط های آزمایشگاهی - رسیدن به تسلط امکان پذیر است ؟ قطعا خیر .

pentest level 1 - آنچه در این دوره ها باید مورد توجه قرار گیرد تدریس مطابق با سرفصل اصل و استاندارد می باشد و همچنین ارائه آزمایشگاه مطابق با سرفصل های مورد نیاز و نیز انتقال تجارب از پروژه هایی که انجام شده است اما متاسفانه مانند دوره zero to hero بازهم خبری نخواهد بود .

نتیجه گیری :

آنچه حائز اهمیت است و فعالیت و تسلط شما را بالا می برد تمرین و تمرین است یاد گرفتن مفاهیم در لحظه ای از زمان صورت می گیرد ولی فراموشی آن مانند افتادن یا کندن برگی از درخت است . انباشتن مطالب در همه حوزه ها بدون کسب دانش و تجربه بیشتر صرفا مانند خواندن روزنامه یا کتابی رمانی است که در زمانی کوتاه به فراموشی خواهد رفت . لذا هر یک از تخصص های web pentest , network pentest , mobile pentest تخصص ها و نقشه راه مخصوص به خود را طلب می کند . شاید بتوان گفت یکی از کلیدی ترین دوره های مقدماتی SSCP or Security plus می باشد ولی به آن بی توجهی می شود اما آیا یاد گرفتن مطالب مقدماتی به معنی تسلط بر روی مفاهیم حمله و فرایند کاری malware ها می باشد قطعا خیر بلکه شما با تجربه کردن و مرور به آن چیزی که در ابتدا بدست آوردید پی خواهید برد . به طور مثال فعالیت در حوزه network pentest و تسلط آن نیاز به آشنایی دقیق نسبت به مسائل cisco R&S - cisco CCNP - پیاده سازی حداقل یک فایروال - آشنایی نسبت به مباحث Hardening تسلط به نسبت خوب در لینوکس می باشد تا مباحث مربوط به تست نفوذ و حمله به یک شبکه را فراگیرید . باید نسبت به طراحی یک شبکه شناخت کافی داشته باشید و این مسیر مسیر اختصاصی برای این حوزه می باشد از طرفی افراد با تجربه در این حوزه به خوبی می دانند نفوذ به یک شبکه سازمان به راحتی میسر نخواهد بود مگر آنکه شما malware ای را طراحی کرده و در قالب یک ایمیل آلوده وارد یک سازمان کنید که البته باز هم برای تشخیص آلودگی سنسور هایی داریم - host base fireawll هایی داریم . که بیشتر حملاتی که تا کنون در ایران بدان شنیده یا دیده اید توسط insider attacker ها و عوامل نفوذی بوده است مانند  سناریو حمله به پمپ بنزین که دیتابیس اصلی آن بر روی Oracel DB بوده است و شبکه ای کاملا بسته دارد حتی می توان گفت در قسمت های بسیار حساس اصلا ارتباطی با اینترنت وجود ندارد یا آنکه حمله به زندان ایوین به دلیل عدم آگاهی نسبت به incidnt responce بوده است و حضور طولانی مدت در سیستم و عدم وجود تیم SOC برای نظارت بر ترافیک های انتقال شده به بیرون مانند بررسی حجم دانلود یا عدم وجود و نظارتی بر روی لاگ های sysmon .

آیا اتقاق های عینی که بنده برای شما تشریح کردم ( البته سعی بر آن بود جامع و خلاصه باشد ) گواه از آن نیست که باید در ابتدای مسیر به صورت تخصصی بر روی یک رشته تمرکز کرد ؟ چرا این دوستان با زندگی - انگیزه و علایق شما بازی می کنند جواب مشخص است تنها و تنها تجارت بر انتقال دانش برتری دارد . اگر مثالی از تعیین نقشه راه بسیار بسیار بد و گمراه کننده برای شما مثال بزنم می گویند دوستانی که در زمینه web pentest قصد فعالیت دارند باید نسبت به طراحی زیر ساخت شبکه آشناییت داشته باشد در صورتی که حرف کاملا اشتباه و غلطی است به دلیل انکه زیر ساخت شبکه طبق مدل OSI تنها بر روی لایه های physical -data link - network و تا قسمتی transport می باشد ولی وب هکنیگ - موبایل هکینگ بر روی application - presentation - session می باشد .

حتما عناوینی تحت عنوان گروه های APT شنیده اید - اعضای متشکل در این تیم ها از تخصص های ذکر شده در بالا تشکیل شده است . همه آنها همه تخصص ها را با هم ندارند . اما چرا در ایران نسبت به تشریح وظایف در آن گروه نکته ای وجود ندارد آیا قصد تجارت است ؟

آیا در زمینه تست نفوذ به شبکه ها و زیر ساخت ما مشکلی و سد بزرگی به نام NAT نداریم پس چرا آن را انکار میکنیم و با دوره هایی نظیر CEH و PWK تست نفوذ به شبکه های کامپیوتری را بزرگ نمایی می کنیم . تنها شرایط ورود به یک سازمان که می توان گفت 90 درصد جواب می دهد طراحی malwer با یک زبان برنامه نوسی سطح پایین مانند c++ - C یا assembly و انتشار آن به در قالب worm می باشد و از طرفی Down کردن Router یا پیدا کردن کاربری مانند مدیر سازمان که انتقال اطلاعات از آن فرد به بیرون در ACL مشخص شده است یعنی دسترسی سطح بالا دارد . چرا بزرگنمایی ؟ هدر رفتن هر یک از عمر شما دوستان عزیز هیچ توجه ای شامل حال این افراد سود جو نمی کند .

افرادی که با گزراندن یک دوره ی امنیتی نظیر CEH یا PWK یا sans pentest level 1 , ... حتی بدون داشتن روزمه ای قوی در مباحث امنیت و نفوذ ادعای تدریس را دارند . بنابراین نکته ای که وجود دارد آیا شما مسیر و نقشه راه مناسب را مربوط به هر یک از رشته های امنیت به درستی یافته اید ؟ آیا در جلوگیری از هدر رفتن منابع مالی نهایت تلاش را کرده اید ؟ آیا در زمینه آشنایی با یک زبان برنامه نویسی نهایت تلاش را کرده اید ؟ آیا فرد با سواد و باعلم - با تجربه را پیدا کرده اید ؟ آیا فرد ماهر در رشته ی خود حاضر به تدریسی میشود ؟

عدم توجه به هر یک باعث از دست رفتن انگیزه و زمان خواهد شد .

رفرنس به افراد ماهر در این زمینه ( برنامه نویسی - امنیت ):

جناب بهنام آقاجانی - تجربه ی برخورد با  حمله و دفاع در برابر آن و آشنایی نسبت به مباحث  php security

جناب مهدی حاتمی در CSIRT و حوزه Blue Team

جناب طاها توکلی فعال حوزهCSIRT

جناب مهدی میر سلطانی طراحی SIEM و میمیزی سازمانی

جناب قهرود  فعال در حوزه SIEM و Detection

جناب عسگری فعال در تامین امنیت پروژه نفتی

جناب یاشار شاهین زاده فعال در حوزه باگ بانتی

جناب روزبه نوروزی فعال در زمینه طراحیSIEM

جناب برنا نعمت زاده فعال در تست نفوذ حرفه ای وب

جناب سجاد تیموری فعال حوزه تست نفوذ به وب سرور ها و مباحث Red Team

جناب رضا شریف زاده فعال در باگ بانتی و حرفه ای تست نفوذ وب

جناب فرزین کریمی فعال حوزه ی RedTeam

جناب آذر نژاد فعال در حوزه SIEM و تست نفوذ حرفه ای

جناب میثم منصف در زمینه تست نفوذ بین اللمللی وب و نیز طراح پلتفرم صرافی ارز دیجیتال

جناب نیما دباغی فعال تست نفوذ و حل چالش های HTB و ..

جناب یکتایی فعال در حوزه Blue Team

باشد که به یادگار ماند -  به دلیل رعایت اخلاق حرفه ای ( خیلی دوست داشتم حداقل اسم یکی شون رو من بیارم ولی به دلیل مشکلاتی که به وجود خواهد آمد منصرف شدم ) اسم افراد کم سواد آورده نشد.

تلاش بر آن بود که نه چندان کامل مسیر مناسب به شما نشان داده شود. برای دریافت Road map حوزه خود با فرد فعال در همان حوزه مشورت گیرید با افراد تازه کار به هیچ عنوان .

از جمله سایت های معتبر برای تمرین و چالش :

vulnhub - HTB - portswiger و ... می باشد .

آنچه در این پست مطالعه کردید مربوط به تاریخ 18/9/1400 ساعت 5:41 بامداد